Google corregge 110 vulnerabilità negli smartphone Pixel

Il 15 settembre di quest’anno Google ha pubblicato i dettagli delle patch per 110 vulnerabilità nei propri smartphone Google Pixel. Tra tutte le falle divulgate, CVE-2026-58704 spicca in modo particolare, poiché sembra che questa vulnerabilità zero-day venga sfruttata in attacchi mirati.

Nel post di oggi parliamo di cosa rende Google Pixel così speciale e del motivo per cui questi dispositivi ricevono aggiornamenti della sicurezza dedicati, separati dai normali aggiornamenti Android. Illustreremo anche le vulnerabilità risolte in questo ultimo aggiornamento, con particolare attenzione per quella citata e più pericolosa (CVE-2026-58704), e concluderemo con suggerimenti su come proteggere il dispositivo ed evitare di restare vittima di attacchi informatici.

Perché i telefoni Google Pixel ricevono aggiornamenti di sicurezza separati da Android?

Il lettore potrebbe ragionevolmente chiedersi: ho già installato gli aggiornamenti della sicurezza Android di questo mese sul mio Google Pixel. Non è la stessa cosa? Google Pixel funziona su Android e riceve gli aggiornamenti della sicurezza, descritti in dettaglio nell’Android Security Bulletin. I produttori di dispositivi basati su Android utilizzano tuttavia diversi set di componenti hardware e software. Ecco perché, oltre alle vulnerabilità comuni a tutti i dispositivi Android, esistono problemi di sicurezza specifici per i dispositivi dei singoli produttori.

Per i propri smartphone, Google pubblica aggiornamenti della sicurezza separati, trattati in un apposito Pixel Update Bulletin. Anziché sostituire l’Android Security Bulletin, questo documento lo integra descrivendo in dettaglio le vulnerabilità specifiche dei dispositivi prodotti da Google. Anche altri smartphone Android ricevono aggiornamenti simili dai rispettivi produttori.

Il Pixel Update Bulletin di settembre 2026 mostra chiaramente perché Google ha bisogno di aggiornamenti separati per i propri smartphone. Molte delle vulnerabilità corrette interessano componenti hardware specifici di Pixel (o correlati all’hardware): modem, bootloader, GPU, componenti dello scanner di impronte digitali e altre parti del dispositivo. Negli smartphone di altri produttori queste funzionalità potrebbero dipendere da componenti hardware e software completamente diversi, quindi le correzioni elencate nel Pixel Update Bulletin non si applicano a questi telefoni.

Detto questo, tali vulnerabilità potrebbero comunque essere rilevanti per i possessori di Pixel che hanno eseguito il flashing dei propri dispositivi con ROM personalizzate. Il passaggio a un sistema operativo diverso non altera i componenti hardware del dispositivo e potrebbe non sostituire il firmware. Pertanto, le vulnerabilità stesse potrebbero persistere, ma la disponibilità delle patch e le modalità di installazione dipendono dal sistema operativo specifico.

CVE-2026-58704: una vulnerabilità zero-day sfruttata attivamente

Esaminiamo ora più da vicino le vulnerabilità specifiche corrette da Google a settembre. La più significativa è la già citata CVE-2026-58704.

Questa vulnerabilità interessa il componente Cellular Modem, che gestisce la comunicazione dello smartphone con le reti cellulari. Deriva da un errore logico nel codice che, in determinate condizioni, consente di aggirare il controllo delle autorizzazioni previsto.

Lo sfruttamento di CVE-2026-58704 consente agli autori dell’attacco di aumentare i privilegi sullo smartphone per ottenere un accesso più ampio alle relative funzioni e dati. L’attacco ha luogo tramite una rete cellulare e gli autori delle minacce necessitano inizialmente di privilegi di basso livello sul dispositivo di destinazione.

In pratica, questo significa che gli autori dell’attacco non possono sfruttare CVE-2026-58704 per attaccare un Pixel da qualsiasi posizione via Internet, poiché a quanto pare dovrebbero o compromettere la rete cellulare a cui è già connesso lo smartphone di destinazione o, più probabilmente, forzarlo a connettersi a una stazione base dannosa sotto il loro controllo.

Google non ha ancora divulgato tutti i dettagli di questa vulnerabilità e il relativo rapporto non è accessibile al pubblico. Di conseguenza, i dettagli tecnici che mostrerebbero quanto sia facile per gli autori dell’attacco sfruttare CVE-2026-58704 rimangono sconosciuti in attesa dell’installazione delle patch su tutti i dispositivi.

Tuttavia, Google afferma che vi sono segnali di uno sfruttamento limitato di CVE-2026-58704.

Informazioni sulle altre 109 vulnerabilità

Delle restanti 109 vulnerabilità rilevate nei dispositivi Google Pixel, solo una è di livello moderato: le altre sono di livello alto (62) o addirittura critico (46). Nove di questi difetti rientrano nella categoria dell’esecuzione di codice in remoto (RCE). Ciò significa che, se l’autore di un attacco sfrutta con successo una di queste vulnerabilità, può forzare il dispositivo a eseguire codice dannoso in remoto. Le condizioni esatte per l’attacco dipendono dalla specifica vulnerabilità.

Altre 88 vulnerabilità rientrano nella categoria dell’escalation dei privilegi (EoP). Queste consentono a un utente malintenzionato che ha già ottenuto un determinato livello di accesso al dispositivo di espandere i propri privilegi. La vulnerabilità CVE-2026-58704 discussa in precedenza rientra in questa stessa categoria, motivo per cui il bollettino di settembre elenca 89 vulnerabilità EoP in totale.

Infine, 10 vulnerabilità possono portare alla divulgazione di informazioni (ID) e altre due ad attacchi Denial of Service (DoS). In breve, è un lungo elenco di difetti: i possessori di Google Pixel dovrebbero affrettarsi ad installare le patch.

Per evitare di restare vittima di attacchi:

I possessori di Google Pixel possono installare l’aggiornamento che corregge le vulnerabilità trattate in questo post seguendo questo percorso: Impostazioni → Sicurezza e privacy → Sistema e aggiornamenti → Aggiornamento della protezione → Installa. Tieni presente che il telefono verrà riavviato automaticamente al termine dell’installazione dell’aggiornamento.

Per mantenere il telefono al sicuro, è consigliabile attenersi alle seguenti misure generali:

• Installa regolarmente e tempestivamente gli aggiornamenti della sicurezza nel telefono, che si tratti di un Google Pixel, di uno smartphone Android di un altro produttore o persino di un iPhone.
• Evita di installare app da fonti discutibili.
• Leggi le recensioni prima di installare app dagli store ufficiali, poiché anche lì il malware non è raro. Gli utenti che sono già stati colpiti spesso lanciano l’allarme nelle recensioni molto prima che i moderatori dello store riescano a rimuovere l’app pericolosa.
• Installa una soluzione di sicurezza affidabile per evitare di scaricare malware e ricevere avvisi in caso di attività sospette sul dispositivo.